Uma nova operação de ransomware batizada de Prinz Eugen está a focar os seus ataques na encriptação dos ficheiros modificados mais recentemente. De acordo com uma investigação detalhada da Threatdown, a divisão empresarial de cibersegurança da Malwarebytes, esta ameaça destaca-se por não deixar qualquer nota de resgate nos sistemas infetados, dificultando a deteção imediata por parte das equipas de segurança informáticas.
Ao contrário de muitas operações modernas de extorsão, o Prinz Eugen não opera sob o modelo de serviço, o que significa que os seus criadores não estão a recrutar afiliados. Os piratas informáticos preferem um estilo de ataque manual, recorrendo ao uso de software legítimo de monitorização remota e a ferramentas nativas do sistema operativo. O acesso inicial às redes empresariais é habitualmente alcançado através de credenciais roubadas.
Estratégia de ataque e ferramentas utilizadas
Após garantirem a entrada na rede, os atacantes descarregam e executam manualmente a carga principal, um malware desenvolvido em linguagem Go. Num dos incidentes investigados, a equipa de segurança observou a utilização do utilitário RemotePC e a criação de uma conta de administrador oculta para garantir a persistência no sistema.
Atualmente, o portal de fuga de dados deste grupo lista apenas três vítimas confirmadas, evidenciando táticas de encriptação e roubo de informação, embora a comunidade de cibersegurança tenha conhecimento de mais organizações afetadas. Num dos casos conhecidos, envolvendo o Standard Bank, foi exigido um resgate de uma moeda virtual Bitcoin, um pedido que acabou por ser recusado pela entidade bancária.
Encriptação direcionada e ocultação de rastos
A análise técnica revelou que a estratégia do grupo dá prioridade absoluta aos documentos de trabalho mais recentes. Se vários ficheiros partilharem a mesma hora de modificação, o processamento ocorre por ordem alfabética. O objetivo é maximizar o impacto operacional na empresa atacada, focando em documentos críticos que estão a ser ativamente usados, de forma a aumentar a pressão para o pagamento. O processo utiliza o algoritmo ChaCha20-Poly1305, dividindo a tarefa em blocos de 1 MB, e verifica recursivamente todos os diretórios sem limite de profundidade.
Para evitar a recuperação da chave de segurança, o código malicioso sobrepõe a mesma com zeros, forçando a sua eliminação da memória antes de se autodestruir do disco rígido. A total ausência de um ficheiro de texto com as exigências de resgate ou de alterações no fundo do ecrã é uma tática propositada. Ao mover toda a comunicação sobre a extorsão para canais externos, como o email, o contacto telefónico ou os portais na dark web, o grupo reduz os artefactos forenses e complica a identificação automatizada da fase de extorsão.
Nenhum comentário
Seja o primeiro!